RANDOM认为危险？
我们的数据库团队想要从PUBLIC撤消对DBMS_RANDOM的执行，以解决安全问题。 如果你是谷歌，一些安全专家认为这个软件包很危险，但没有说明原因。 英格拉姆和Shaul的书“实用Oracle安全性”指出
...在加密密钥生成中使用该函数的环境中授予对DBMS_RANDOM的PUBLIC访问权可能会导致加密数据的危害......
Oracle文档说
DBMS_RANDOM不适用于密码学。
...和...
DBMS_CRYPTO.RANDOMBYTES ...返回一个包含密码安全的伪随机字节序列的RAW值，该值可用于生成用于加密密钥的随机素材。
因此，DMBS_RANDOM对于生成伪随机数似乎没有问题（只要你不用它编写密码）。 为什么这对PUBLIC来说太危险了？
在将PMS用作加密密钥生成时，不应将PMS_RANDOM授予PUBLIC的原因是，攻击者可以使用它来确定密钥生成中的种子值和/或模式，这可用于确定数据的密钥用...加密。 这就是为什么它会导致加密数据的妥协。 这当然不是一个容易的攻击，但对于有足够处理能力的人来说是可能的。
DBMS_RANDOM不应该用于加密，因为它太可预测。 对于加密密钥生成，只应使用安全的随机函数。 这些函数试图通过测量诸如白噪声之类的东西并从中产生数值来获得尽可能的随机性。
链接地址: http://www.djcxy.com/p/71751.html